Hepsiburada veri ihlali, Kişisel Verileri Koruma Kurumu’nun (KVKK) resmi sitesinde ilan edildi. D-Market Elektronik Hizmetler ve Ticaret A.Ş. adına Kurula iletilen bildirimde, bir siber saldırının kişisel verileri etkilediği belirtildi. Kurum, bildirimi bugün kamuoyuyla paylaştı. Ayrıca bildirim, olayın kapsamını ve etkilenen veri türlerini de ortaya koyuyor. Bu nedenle ayrıntıları sırayla ele almak gerekiyor.
Hepsiburada veri ihlali nasıl gerçekleşti?
Buna göre sorun, Hepsiburada’ya chat altyapısı hizmeti sunan veri işleyen firmada yaşandı. Bu firmada barındırılan bazı kayıtlara siber saldırgan ya da saldırganlarca yetkisiz erişim sağlandı. Erişilen kayıtlar ise 2022 tarihli chat kayıtları. Dolayısıyla olay, 2022 tarihli sohbet verilerini kapsıyor.
Ayrıca ihlalden etkilenen kişi sayısı 9.882 olarak bildirildi. Yani olay, doğrudan Hepsiburada sistemlerinde değil, hizmet aldığı üçüncü tarafın altyapısında ortaya çıktı. Yine de veri sorumlusu sıfatıyla bildirimi Hepsiburada yaptı. Bu yüzden bildirimde D-Market adı yer alıyor.
Hangi Veriler Etkilendi?
Etkilenen veriler üç ana grupta toplanıyor. Bunlar şöyle sıralandı:
- Kimlik: ad ve soyadı
- İletişim: cep telefonu, e-posta adresi ve adres
- Müşteri işlem: sipariş numarası, gönderi numarası, talep ve şikayet kayıtları, satın alınan ya da iptal edilen ürün bilgileri
Örneğin sipariş numarası, gönderi numarası ve talep kayıtları müşteri işlem grubunda yer alıyor. Üstelik satın alınan ya da iptal edilen ürün bilgileri de aynı gruba giriyor. Öte yandan iletişim grubu cep telefonu, e-posta adresi ve adresten oluşuyor.
Bununla birlikte Hepsiburada veri ihlali yalnızca müşterileri kapsamıyor. Etkilenen ilgili kişi grupları arasında çalışanlar, müşteriler ve potansiyel müşteriler var. Ayrıca tedarikçi çalışanları, iş ortakları ve satıcılar da bu listede yer alıyor. Dolayısıyla etki alanı tek bir kullanıcı grubuyla sınırlı değil.
KVKK Süreci ve Bilgi Alma Kanalları
KVKK, konuyla ilgili incelemenin sürdüğünü duyurdu. Kişisel Verileri Koruma Kurulu, 04.11.2026 tarih ve 2026/2438 sayılı kararıyla bildirimin Kurumun internet sitesinde ilan edilmesine karar verdi. Dolayısıyla kamuoyu süreçten resmi olarak haberdar edilmiş oldu. Bu nedenle Hepsiburada veri ihlali resmi kayıtlara geçmiş durumda.
Öte yandan ilgili kişilerin bilgi alabileceği iki kanal belirtildi. Bunlardan biri bildirimde yer alan e-posta adresi, diğeri ise 0850 252 40 00 numaralı çağrı merkezi. Etkilenen kullanıcılar, Hepsiburada veri ihlali ile ilgili sorularını bu iki kanal üzerinden iletebilecek. İnceleme sürdüğü için sürecin sonucuna dair yeni bir açıklama yapılması bekleniyor.
Kurum aynı gün KVK Teknik Servis ve Vava Cars için de veri ihlali bildirimlerini yayımladı.
